IT-Infrastrukturprojekte – Herausforderungen und Besonderheiten (Teil 1)
Viele Unternehmen stufen ihren Reifegrad bei der Umsetzung von IT-Projekten in der Regel als hoch ein – doch nicht in jedem Fall trifft dies in der Praxis auch wirklich zu. Immerhin gehören IT-Projekte heutzutage zum täglichen Business. In Zeiten der allgegenwärtigen Digitalisierungsoffensive werden Unternehmen regelrecht gezwungen, sich als flexibles und dynamisches Unternehmen aufzustellen und den rasanten Änderungsanforderungen Ihrer Geschäftsmodelle für sich und ihre Kunden zu stellen (Time to market).
Diese Herausforderungen treffen umso mehr Unternehmen im regulierten Umfeld. In Zeiten von Niedrigzinsen ist der Druck hoch, Geschäftsmodelle zu überdenken bzw. neue Produkte und Lösungen zu entwickeln und zeitnah auf den Markt zu bringen. Gleichzeitig werden regulatorische Anforderungen an die IT immer höher und bestehende Umgebungen müssen angepasst und verändert werden.
Aber was genau fordert die Bundesanstalt für Finanzdienstleistungsaufsicht (kurz: BaFin) als kontrollierende Finanzmarktaufsichtsbehörde in Deutschland genau?
Die Arbeit der BaFin orientiert sich an Richtlinien wie BAIT oder VAIT
Zunächst ist wichtig zu verstehen, dass sich die BaFin nicht an Normen, sondern an Richtlinien orientiert. Es gibt also keine „Kochrezepte“ für die Umsetzung von Regulatorik. Gesetzliche Grundlage für Banken, Versicherungen und Finanzdienstleister sind das Kreditwesengesetz KWG und das Versicherungsaufsichtsgesetz. Konkretisiert werden die gesetzlichen Rahmenbedingungen in den MaRisk (Verwaltungsanweisungen für die Mindestanforderungen an das Risikomanagement), den von der BaFin herausgegebenen Richtlinien BAIT, VAIT (s.u.) sowie dem Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (kurz: BSI).
All diese Vorgaben beschreiben Themenbereiche, die in regulierten Unternehmen umgesetzt sein müssen. Die BaFin orientiert sich bei Prüfungen an all diesen Anforderungen und deren Umsetzungsgrad. Wie die Themenbereiche im Unternehmen umgesetzt werden, ist eigenständig festzulegen und bei einer Prüfung nachzuweisen. Konkret prüft die Bundesanstalt dabei, ob …
- sich die Maßnahmen an der Unternehmensstrategie orientieren.
- es Vorgaben und Konzepte dafür gibt.
- die Risiken im jeweiligen Umfeld erfasst sind und gemanaged werden.
- ob durch Berichte und Prüfungen sichergestellt wird, dass die Maßnahmen wirksam sind und regelmäßig verbessert werden.
Die Anforderungen an Kreditinstitute, Finanzdienstleistungsinstitute und Versicherungen sind also in den „Bankaufsichtlichen Anforderungen an die IT (BAIT)“ und für Versicherungsunternehmen in den „Versicherungsaufsichtlichen Anforderungen an die IT (VAIT)“ festgehalten.
In beiden Regelwerken gibt es einen Abschnitt „IT-Projekte, Anwendungsentwicklung“ (Stand 12/2019). In diesem Beitrag möchte ich näher auf die Anforderungen an die Kredit- und Finanzdienstleistungsinstitute, wie sie in den BAITs definiert sind, eingehen. Sollten Sie in der Versicherungswirtschaft tätig sein und für Ihr Institut eigentlich die VAITs gelten, können Sie meine Ausführungen jedoch ebenso zur Orientierung heranziehen. Die Anforderungen, die in den VAITs zu diesem Thema definiert wurden, unterscheiden sich nämlich nur geringfügig von denen der BAITs.
BAIT Kapitel 6: IT-Projekte, Anwendungsentwicklung
Der Abschnitt „IT-Projekte, Anwendungsentwicklung“ umfasst insgesamt 14 Anforderungen, welche im Rahmen von IT-Projekten oder der Anwendungsentwicklung (üblicherweise ebenfalls ein IT-Projekt) zu erfüllen sind. Zum Teil werden Beispiele aufgezeigt, wie die aufgeführte Anforderung erfüllt werden kann. Im Folgenden werde ich zunächst den Zweck von Projekten im regulatorischen Kontext erläutern und dann auf jede einzelne Anforderung eingehen und diese mit weiteren Lösungsbeispielen hinterlegen.
Die Anforderungen unterteilen sich in allgemeine Anforderungen an IT-Projekte im Unternehmen und in Anforderungen, welche sich speziell auf die Entwicklung und Fortschreibung von Anwendungen fokussieren. Der Fokus der BAIT liegt dabei immer darauf, ein Risikobewusstsein für die relevanten Themen zu schaffen.
Dokumentation und Risikominimierung durch strukturiertes Projektmanagement
Warum also wählen wir für die Umsetzung bestimmter gewollter Veränderungen Projekte, die gewissen unternehmensspezifischen Regelungen unterliegen als Mittel zum Zweck? Wir könnten ja die Veränderungen auch einfach „machen“ und uns den ganzen organisatorischen Overhead eines Projekts sparen. Oder etwa nicht?
Regulatorische Richtlinien fordern, dass die Unternehmensleitung strategische Vorgaben für das Unternehmen macht, deren Einhaltung sie regelmäßig prüft und sicherstellt. Zudem muss die Unternehmensleitung sicherstellen, dass alle Vorhaben ausreichend mit Ressourcen unterlegt sind, um erfolgreich umgesetzt werden zu können.
Ist das Unternehmen beispielsweise ein Dienstleister in der Finanzbranche, hängt der Unternehmenserfolg (auch) davon ab, dass alle Dienstleistungen für die Kunden MaRisk- und BAIT-konform erbracht werden und so zur finanziellen / risikomäßigen Stabilität der Kunden sowie zum Erreichen/zur Verbesserung des Vertrauen der Endkunden in die Finanzbranche beitragen. Dies wiederum senkt das Risiko der Kunden in der Finanzbranche.
Jede Veränderung in der IT stellt ein Risiko für die Stabilität und Verfügbarkeit der IT dar. Vertrauen in solche Veränderungen setzt also Transparenz und Zuverlässigkeit voraus. An dieser Stelle kann durch ein gutes Projektmanagement sichergestellt werden, dass die notwendigen Methoden, Risikobetrachtungen, Verschriftlichungen und Kontrollmechanismen zum Einsatz kommen, um die geordnete Durchführung von Veränderungen zu ermöglichen und die Möglichkeit eines Fallbacks zu haben. Deshalb müssen Projekte den Kern des Veränderungsmanagements beim IT-Dienstleister und deren Kunden bilden, in den jeweiligen Strategien verankert sein und operativ umgesetzt werden.
Es ist immer erforderlich, die Größe und den Umfang des Projekts risikoorientiert festzulegen. Das bedeutet, dass nicht jede Veränderung mit maximalem Projektmanagement zu begleiten ist, sondern mit einem angemessenem. Die Angemessenheit wiederum lässt sich am einfachsten an der Klassifizierung der Daten festmachen, die durch das Projekt verändert werden. Daten werden über den Schutzbedarf klassifiziert, der die vier Aspekte Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität betrachtet. Die Klassifizierung der Projekte kann im Projektmanagement Framework definiert und nach Kriterien festgelegt werden. Wird beispielsweise ein Change an Kontodaten durchgeführt, welche die Basis jeglichen Zahlungsverkehrs sind und maximalen Schutzbedarf in allen vier Kategorien haben, ist ein sehr sorgfältiges Vorgehen im Rahmen des Projektmanagements zu wählen. Geht es nur um öffentlich zugängliche Darstellung der Kontoführungsgebühren einer Bank, kann mit deutlich abgespeckten Maßnahmen gearbeitet werden. Dies korrespondiert mit dem Grundsatz der „doppelten Proportionalität“, nach der die Steuerungsinstrumente einer Bank und auch die Intensität der Überwachung durch die Bankenaufsicht proportional zu den Risiken der Bank sein sollen.
Im Folgenden möchte ich etwas genauer auf die in Kapitel 6 der BAIT festgeschriebenen Anforderungen eingehen und Ihnen zeigen, was die Formulierungen bedeuten.
